Uppgradera beroenden med tester som skyddsnät

Uppgradera projektets beroenden på ett kontrollerat sätt.

## Förberedelser

1. Kontrollera att arbetsträdet är rent och att testerna går igenom på
   nuvarande version. Om testerna inte går igenom: stanna och rapportera.
   Ingen uppgradering börjar från ett rött läge.
2. Skapa en gren `chore/upgrade-YYYY-MM-DD`.
3. Lista föråldrade beroenden med projektets pakethanterare (`npm
   outdated`, `pip list --outdated`, `go list -m -u all` eller
   motsvarande). Dela upp i tre grupper: patch, minor, major.

## Uppgradera i ordning

Gör grupperna i ordning: patch, sedan minor, sedan major. Inom major:
ett paket i taget.

För varje steg:
1. Uppgradera.
2. Kör typkontroll, lint och hela testsviten.
3. Om grönt: commit med meddelandet "Upgrade <paket> <från> -> <till>".
4. Om rött: läs felet och paketets changelog eller migrationsguide för
   versionsintervallet. Gör den minsta kodändring som krävs. Kör om.
   Commit som "Upgrade <paket> <från> -> <till>, adapt <vad>".
5. Om du efter två försök inte får grönt: backa uppgraderingen av det
   paketet, notera det i en lista över "Kunde inte uppgradera" med
   felmeddelande, och gå vidare.

## Avslutning

1. Kör hela sviten en sista gång. Bygg produktionsbygget.
2. Kör en sårbarhetsskanning (`npm audit`, `pip-audit` eller motsvarande)
   och rapportera vad som återstår.
3. Öppna en pull request med rubriken "Upgrade dependencies YYYY-MM-DD".
   Beskrivningen ska innehålla: tabell över uppgraderade paket med
   versioner, lista över kodändringar som krävdes och varför, lista över
   paket som inte kunde uppgraderas med orsak, och vad som bör testas
   manuellt.

## Regler

- Ändra aldrig tester för att få dem gröna. Om ett test måste ändras på
  grund av ett förändrat beteende i beroendet, förklara i commit-
  meddelandet.
- Ta inte bort beroenden, byt inte ut ett bibliotek mot ett annat.
- Lås versioner exakt i lockfilen. Rör inte versionsintervall i
  manifestfilen om projektet inte redan gör det.
- Om något kräver en ny major av runtime (Node, Python, Go): stanna och
  fråga.